Forskare har upptäckt en grupp på 45 domäner, vissa registrerade redan 2020, som kopplas till den ökända kinesiska hackergruppen Salt Typhoon och andra statsstödda aktörer. Domänerna har använts i cyberspionagekampanjer för att skapa långsiktig och dold åtkomst till utvalda organisationer.
Säkerhetsföretaget Silent Push identifierade de tidigare okända domänerna, som registrerats med falska namn och adresser. I sin rapport konstaterar de att domänerna inte bara kopplas till Salt Typhoon, utan också till en annan aktör, UNC4841, som båda agerar med stöd av den kinesiska staten. Grupperna delar infrastruktur och bedöms arbeta på uppdrag av Folkrepubliken Kina.
Salt Typhoon, även känd som GhostEmperor, FamousSparrow och UNC2286, blev särskilt uppmärksammad förra året efter attacker mot flera telekomoperatörer. UNC4841 är i sin tur känd för att ha utnyttjat en sårbarhet i Barracudas e-postsäkerhetslösningar 2023 för att ta sig in i nätverk.
Kopplade
Även om de identifierade domänerna sannolikt inte längre är i bruk, bedömer Silent Push att alla domäner kopplade till Salt Typhoon och UNC4841 fortsatt innebär en betydande risk. Företaget uppmanar därför andra säkerhetsforskare att jämföra sina loggar med de 45 domänerna för att stärka det gemensamma försvaret mot hoten.
Arbetet började med en bloggpost från Trend Micro i november förra året, där Salt Typhoon kartlades under namnet Earth Estries. Där fanns värdar kopplade till tre skadeprogram som gruppen använt: rootkitet Demodex samt bakdörrarna Snappybee och Ghostspider. Genom WHOIS-data upptäckte Silent Push återkommande mönster, bland annat att många domäner registrerats med ProtonMail-adresser. Vidare analys ledde fram till de 45 domänerna som nu kunnat knytas till de två kinesiska aktörerna.
Upptäckten visar enligt forskarna på ett fortsatt sofistikerat och långsiktigt cyberhot som kräver proaktiva motåtgärder.
Läs mer
Så hotar Kina väst online – cyberattacker, sabotage och spionage
FBI: Kinesiska statshackare har slagit mot 200 amerikanska organisationer
Kinesiska Salt Typhoon-hackarna tros ha drabbat nästan alla amerikaner
